Integration bestehender IP-basierter Autorisierung und Abrechnung in Shibboleth-basierte Föderationen

Abstract

Insbesondere im wissenschaftlichen Umfeld stellen Verlage und Bibliotheken in den letzten Jahren vermehrt Ihre Zugriffskontrolle für die von Ihnen bereitgestellten Ressourcen von IP-basierten auf föderative Verfahren um. Ausgehend von Entwicklungen im Rahmen des Internet2 in den USA hat sich für föderative Authentifizierungsund Autorisierungsverfahren im wissenschaftlichen Um- feld das auf der Security Assertion Markup Language (SAML) basierende Shibboleth etabliert. Shibboleth ermöglicht durch den föderativen Ansatz ein Single Sign- On über unterschiedliche Web-Ressourcen innerhalb einer Föderation. Allerdings umfasst weder Shibboleth noch der SAML-Standard explizite Funktionen für die Unterstützung des Accounting bzw. der Abrechnung von Zugriffen. Eine differenzierte Abrechnung ist jedoch vor Allem dann erforderlich, wenn innerhalb einer Föderation unterschiedliche Organisationen existieren (z.B. unterschiedliche Einrichtungen, die die Leistungen einer gemeinsamen Bibliothek in Anspruch nehmen). Die folgenden Abschnitte stellen eine Lösung vor, die im Rahmen der Realisierung einer Shibboleth Föderation für die 80 Institute der Max-Planck- Gesellschaft (MPG-AAI) in Bezug auf die Integration von IP-basierten und föderativen Abrechnungsund Autorisierungsverfahren erstellt wurde. Durch die vorgestellte Implementierung wird die Integration von Verlagen, die nach wie vor eine IP-basierte Autorisierung durchführen, in die Föderation möglich ohne dabei die differenzierte Abrechnung der einzelnen Institute der Max-Planck-Gesellschaft einzuschränken. Dies ermöglicht eine sanfte Migration hin zu föderativen Authentifizierungsund Autorisierungsverfahren innerhalb der Max-Planck-Gesellschaft.